JP3478306B2 - 暗号装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、例えば通信の秘密を
守るためにその通信を秘密鍵で暗号化する暗号装置、特
に差分暗号攻撃に強い暗号装置に関する。

【０００２】

【従来の技術】始めに、この発明を明確に説明するた
め、記法や用語等の定義を行う。記法と定義 アルファベットＰ，Ｃ，Ｌ，Ｒ，ｘ，ｙ，λ，ａ，ｂ等
の記号は、特に断らない限り、複数ビット長のデータブ
ロックを表わす。但し、１ビット長ブロックを含む。デ
ータブロックの各成分値は、０，１の値をとる。

【０００３】各種の論理演算、即ち、排他的論理和、Ａ
ＮＤ，ＯＲ，ＮＡＮＤ，ＮＯＲは、データブロック間の
ビット対応の演算を表わす。ビット対応とは、例えば、
ＡＮＤ演算の、ａ＆ｂの場合、ａの左からｊビット目と
ｂの左からｊビット目を１ビット毎に対応させてＡＮＤ
演算することを表わす。他の論理演算も同様とする。
（＋）は、排他的論理和演算を表わす。 （ＡＯＮＲ論理関数）論理演算ＡＮＤ，ＯＲ，ＮＡＮ
Ｄ，ＮＯＲを、ＡＯＮＲ論理関数と呼ぶ。即ち、ＡＮＤ
演算は、ｙ＝ｘ＆λ、ＯＲ演算は、ｙ＝ｘ or λ ＮＡＮＤ演算は、ｙ＝ｘ nand λ、ＮＯＲ演算は、ｙ＝
ｘ norλ、と表わす。

【０００４】また、ｘ＃ｙは、４種の論理演算、ｘ＆
ｙ，ｘ or ｙ，ｘ nand ｙ，ｘ norｙのいづれかを表わ
す。ＡＯＮＲ論理関数の機能を具体的に実現する暗号化
処理要素を、ＡＯＮＲ論理手段という。ａ‖ｂはデータ
ブロックａとｂの連結、即ちａとｂを並べた１つのデ−
タブロックを表す。等記号＝は、特に断らない限り、右
辺を計算し左辺に代入することを表わす。ＥＸＧ（ｘ）
は、データブロックｘの左半分のブロックと右半分のブ
ロックとを交換して出来るデータブロックを表わす。

【０００５】第３者に秘密にしない関数を、手順公開関
数という。手順公開関数は、秘密のアルゴリズムやメカ
ニズム、あるいは、秘密パラメータを持たない。ｘから
ｙへの変換ｙ＝ｇ（ｘ）で、全てのｘに対して、ｘ₁ ≠
ｘ₂ ならば、ｙ ₁ ≠ｙ₂ となるものを、１：１写像とい
う。ｘからｙへの変換が１：１写像であり、そのアルゴ
リズムやメカニズムに秘密がないものを、手順を公開し
た１：１写像と呼ぶ。例えば、データブロックｘを１ビ
ット左回転する関数、ｘの左右半分を交換する関数、Ｄ
ＥＳ暗号の初期転置ＩＰは手順を公開した１：１写像で
あり、また図５ａに示す１：１写像（後で説明する）
で、パラメータａ、ｂの値を、例えばａ＝１０１０‥１
０，ｂ＝００１１‥‥００１１、と公開した場合は、手
順を公開した１：１写像である。

【０００６】この発明は、差分暗号攻撃に強い秘密鍵暗
号の暗号装置を提供することを目的としている。始め
に、暗号化鍵と復号化鍵の値が同一な秘密鍵暗号の一例
としてＦＥＡＬ暗号を説明し、次に差分暗号攻撃に関連
する技術事項を説明する。 （ＦＥＡＬ暗号）図６において、ＦＥＡＬ暗号装置５１
は鍵処理部５２とデータ処理部５３とよりなり、データ
処理部５３は前処理部５４と反復処理部５５と後処理部
５６とよりなる。鍵処理部５２には鍵入力線５７−１と
暗号化復号化切替え制御線５７−２とが接続され、デー
タ処理部５３には入力データ線５８−１と出力データ線
５８−２とが接続される。鍵処理部５２からデータ処理
部５３の反復処理部にサブ鍵データ線５９−１，５９−
２〜５９−Ｎが、また前処理部５４へサブ鍵データ線６
０−１，６０−２かつ、後処理部５５へサブ鍵データ線
６０−３，６０−４がそれぞれ接続されている。

【０００７】鍵処理部５２は、鍵入力線５７−１から６
４ビット長の鍵ブロックＫを入力し、１６ビット長のサ
ブ鍵Ｋｉを次の方法で出力する。暗号化復号化切替え制
御線５７−２で暗号化を指定すると、鍵処理部５２の中
で鍵ブロックＫを撹拌し、サブ鍵データ線５９−１〜５
９−Ｎからそれぞれ、サブ鍵Ｋ₀ 〜Ｋ_{N -1}を出力し、サ
ブ鍵データ線６０−１，６０−２からそれぞれ、サブ鍵
のＫ_N ‖Ｋ_N+1 ，Ｋ_N+2 ‖Ｋ_N+3 を出力し、サブ鍵デー
タ線６０−３，６０−４から、それぞれサブ鍵のＫ_N+4
‖Ｋ_N+5 ，Ｋ_N+6 ‖Ｋ_N+7 を出力する。

【０００８】鍵処理部５２は、暗号化復号化切替え制御
線５７−２で復号化を指定すると、暗号化とは異なる次
の順序で、即ち、サブ鍵データ線５９−１〜５９−Ｎか
らそれぞれサブ鍵Ｋ_N-1 〜Ｋ₀ を出力し、サブ鍵データ
線６０−１，６０−２からそれぞれサブ鍵のＫ_N+4 ‖Ｋ
_N+5 ，Ｋ_N+6 ‖Ｋ_N+7 を出力し、サブ鍵データ線６０−
３，６０−４からそれぞれサブ鍵のＫ_N ‖Ｋ_N+1 ，Ｋ
_N+2 ‖Ｋ_N+3 を出力する。

【０００９】次に、暗号化動作について説明する。以降
の説明で、Ｌ、Ｒはそれぞれ３２ビット長の左データブ
ロックＬと、右データブロックＲを表し、それらの右下
の添字は処理の段階を表わす。 （全体の動作）鍵入力線５７−１から鍵ブロックＫを入
力し、かつ、暗号化復号化切替え制御線５７−２で暗号
化を指定しておき、入力データ線５８−１から平文ブロ
ックを入力すると、出力データ線５８−２から暗号文ブ
ロックが出力される。 （動作の詳細）入力データ線５８−１から、６４ビット
の平文データブロックＰを、前処理部５４に入力し、デ
ータ分割手段６２で、平文データブロックＰを各３２ビ
ット長の左データＬ₀ と右データＲ₀ とに分け、左デー
タＬ₀ は、排他的論理和回路６７−１で、サブ鍵データ
線６０ー１から入力するサブ鍵のＫ_N ‖Ｋ_N+1 との排他
的論理和演算を施こし、更に、右データＲ₀ は、排他的
論理和回路６７−２で、サブ鍵データ線６０ー２から入
力するサブ鍵のＫ_N+2 ‖Ｋ_N+3 との排他的論理和演算を
施こし、次に、排他的論理和回路６８で、左データＬ₀
を、右データＲ₀に、排他的論理和演算を施こす。

【００１０】次に、反復処理部５５において、左データ
Ｌ₀ は左レジスタ７０ー０に、右データＲ₀ は、右レジ
スタ７１ー０に格納する。そして、右データＲ₀ に、サ
ブ鍵データ線５９−１から入力するサブ鍵Ｋ₀ を用いて
ＦＥＡＬ暗号のｆ関数手段（データランダム化関数手
段）７２−１で攪拌処理を施こし、このｆ関数手段７２
−１の出力のデータブロックと左レジスタ７０−０から
の左データＬ₀ を、排他的論理和回路７３−１で排他的
論理和演算をとり、その結果を新しく右データＲ₁ と
し、右レジスタ７１−１に格納する。また、それまでの
右データＲ₀ を新しく左データＬ₁ とし、左レジスタ７
０−１に格納する。これらの処理を繰り返しＮ回行な
い、左データＬ_N を左レジスタ７０−Ｎに格納し、右デ
ータＲ_N を右レジスタ７１−Ｎに格納する。最後に、左
データブロックと右データブロックを入れ換えて反復処
理部５５での演算を終了する。なおこの入れ換え後の時
点では左データはＲ_N 、右データはＬ_N と表わす。

【００１１】次に、後処理部５６の排他的論理和回路６
９で、左データＲ_N は、右データＬ _N に、排他的論理和
演算を施こし、また左データＲ_N は、排他的論理和回路
６７−３で、サブ鍵データ線６０−３から入力するサブ
鍵のＫ_N+4 ‖Ｋ_N+5 との排他的論理和演算を施こし、一
方、排他的論理和回路６９からの右データＬ_N は、排他
的論理和回路６７−４で、サブ鍵データ線６０−４から
入力するサブ鍵のＫ_{N+ 6} ‖Ｋ_N+7 との排他的論理和演算
を施こし、最後に、データ結合手段６３で、左データＲ
_N と右データＬ_N が並べられて、即ち、Ｒ_N ‖Ｌ_N が、
暗号文ブロックとして、出力データ線５８−２から出力
される。

【００１２】以上に述べた暗号化の動作を、数式を用い
て補足説明する。 前処理部５４ 平文ブロックＰを２分割する、即ち、Ｐ＝Ｌ₀ ‖Ｒ₀次
に、 Ｌ₀ ＝Ｌ₀ （＋）（Ｋ_N ‖Ｋ_N+1 ) Ｒ₀ ＝Ｒ₀ （＋）（Ｋ_N+2 ‖Ｋ_N+3 ) Ｒ₀ ＝Ｒ₀ （＋）Ｌ₀ 反復処理部５５ 次の演算を、ｉ＝１から、ｉ＝Ｎまで繰り返す。

【００１３】Ｒ_i ＝Ｌ_i-1 （＋）ｆ（Ｒ_i-1 ，Ｋ_i-1 ） Ｌ_i ＝Ｒ_i-1 ここで、ｆはｆ関数手段７２−ｉの機能（攪拌処理）を
関数として表したものである。Ｎ回反復後、左半分と右
半分を入れ換え、左データはＲ_N 、右データはＬ_N で表
わす。後処理部５６ Ｌ_N ＝Ｌ_N （＋）Ｒ_N Ｒ_N ＝Ｒ_N （＋）（Ｋ_N+4 ‖Ｋ_N+5 ) Ｌ_N ＝Ｌ_N （＋）（Ｋ_N+6 ‖Ｋ_N+7 ) Ｒ_N ‖Ｌ_N が、暗号文ブロックＣとなる、即ち、 Ｃ＝Ｒ_N ‖Ｌ_N （差分に関する技術事項） １９８９年、イスラエルのバイハム等は、平文や暗号文
から成る“差分”が、それほど小さくない確率で暗号装
置を通過する性質を用いて、暗号鍵を算出しようという
差分暗号攻撃法を発表した。次に、この発明の理解に必
要となる差分に関する技術事項を説明する。 （差分） ２つのデータブロックｘとｘ^* の排他的論理和を、２つ
のブロックの差分ｘ’という。適当な関数ｙ＝ｇ（ｘ）
と、変数ｘとｘ^* に対して、ｘ’＝ｘ（＋）ｘ^* を入力
差分、ｙ（＋）ｙ^* を、出力差分という。 （差分通過とその予測） 関数ｙ＝ｇ（ｘ）において、入力ブロックｘの適当なｍ
個のビットを反転させると、出力ブロックｙの適当なｎ
個のビットが反転する、ｍ≠ｎでもよい。この事象を、
差分が関数ｙ＝ｇ（ｘ）を通過するという。但し、ビッ
ト反転という場合、ビットの反転方向が、０から１の方
向か、１から０への方向かは問わない。

【００１４】手順公開関数ｙ＝ｇ（ｘ）は、入力ブロッ
クの差分に対して出力の差分が確実に計算できるという
意味で、差分通過を確率１００％で予測できるといえ
る。一例として、図４ａに示す手順公開関数、ｙ＝ｈ
（ｘ，ａ）＝ｘ（＋）ａ、を考える。この関数は、ｘの
ビットが反転すれば、ｙのビットは必ず反転する（ビッ
トの反転方向は問わない）。この関数は、パラメータａ
が秘密であっても、差分が通過する確率ｐは、１００％
である。

【００１５】次に、図４ｂに示す手順公開関数を考え
る。この関数は、次式で表せる。 ｙ＝ｙ₁ ‖ｙ₂ ＝ｈ（ｘ，λ）， ｘ＝ｘ₁ ‖ｘ₂ ，λ＝ａ‖ｂ， ｙ₁ ＝ｘ₁ （＋）ａ，ｙ₂ ＝ｘ₁ （＋）ｘ₂ （＋）ａ
（＋）ｂ この関数はパラメータ、λ＝ａ‖ｂ、が定数であると
き、ｘからｙへの変換は１：１写像である。パラメータ
が秘密であっても、ｘの任意のビット反転に対して、ｙ
のどのビットが反転するかは確実に計算できる。以上を
要約すると、図４ｂに示す手順公開関数は、パラメータ
λが秘密であっても、差分が通過する確率ｐは、１００
％である。

【００１６】

【発明が解決しようとする課題】ＦＥＡＬ暗号の前処理
部５４は、データ分岐手段６２と、図４ｂに示した１：
１写像手段とから作られており、差分が確率１００％で
通過する１：１写像であることがわかる。同様に、ＦＥ
ＡＬ暗号の後処理部５６も、差分が確率１００％で通過
する１：１写像であることがわかる。米国暗号規格のＤ
ＥＳ暗号も、その前処理部と後処理部は、差分が確率１
００％で通過する１：１写像である。差分攻撃を避ける
ためには、差分通過を予測できる確率が小さな前処理部
や後処理部が必要であり、差分通過率の小さな１：１写
像手段を実現できる暗号化処理要素が求められていた。
更に、反復処理部５５のｆ関数手段７２−１〜７２−Ｎ
の差分通過率も１００％未満ではあるが、差分通過率を
より小さくするための暗号設計技術が求められていた。

【００１７】この発明の目的は差分暗号攻撃に強い、即
ち、差分攻撃により暗号鍵を算出されにくい、暗号装置
を提供する。

【００１８】

【課題を解決するための手段】この発明は、差分通過確
率が小さな、動的写像手段、あるいは、ＡＯＮＲ論理手
段を暗号化処理要素として用いることにより、差分が暗
号装置を通過する確率を一層小さくして、暗号鍵の算出
が難しい強い暗号を設計しようとするものであり、以下
に、動的写像手段、及び、ＡＯＮＲ論理手段について説
明する。

【００１９】図４ｃに示す手順公開関数、ｙ＝ｈ（ｘ，
λ）＝ｘ＆ａ、但しλは秘密パラメータ、について、差
分が通過する確率について考える。この関数は、ａ＝１
ならば差分が通過し、ａ＝０ならば差分が通過しない。
即ち、パラメータａが秘密であれば、差分が通過する確
率ｐは５０％といえる。次に、図５ａに示す手順公開関
数ｙ＝ＭＡＰ1 （ｘ，λ）を考える。入力データブロッ
クｘは２分割されたデータブロックｘ₁ ，ｘ₂ であっ
て、データブロックｘ₂ とパラメータａとがＡＮＤ回路
１０１でＡＮＤ演算され、その出力データブロックｘ₁
に対し排他的論理和回路１０２において排他的論理和演
算がなされ、その演算結果が一方の出力データブロック
ｙ₁ として出力されると共にパラメータｂとのＡＮＤ演
算がＡＮＤ回路１０３で行われ、その演算結果でデータ
ブロックｘ₂ に対し排他的論理和演算が回路１０４で行
われる、その結果が他方の出力データブロックｙ₂ とし
て出力される。この関数は、パラメータλが定数である
とき、１：１写像であり、次式で表せる。

【００２０】ｙ＝ｙ₁ ‖ｙ₂ ＝ＭＡＰ1 （ｘ，λ） ｘ＝ｘ₁ ‖ｘ₂ ，λ＝ａ‖ｂ ｙ₁ ＝ｘ₁ （＋）（ａ＆ｘ₂ ) ，ｙ₂ ＝ｘ₂ （＋）（ｂ
and (ｘ₁ （＋）（ａ＆ｘ₂ ))） この関数はパラメータが秘密であれば、差分通過確率ｐ
は、ｐ＜１といえ、次に説明する。ここで、ｘ₁ ，
ｘ₂ ，ｙ₁ ，ｙ₂ ，λ₁ ，λ₂ ，は、全て３２ビットデ
ータブロックであるが、各ブロック内の１ビット対応の
演算に注目して説明する。

【００２１】ｘ₁ が反転し、ｘ₂ が無変化のとき、ｙ₁
は必ず反転する。更に、ｂ＝０のとき、ｙ₂ が反転しな
い、ｂ＝１のとき、ｙ₂ が反転する。ｘ₁ が無変化で、
ｘ₂ が反転したとき、次のように整理できる。即ち、ａ
＝１、ｂ＝１のとき、ｙ₁ は反転し、ｙ₂ は反転しな
い。

【００２２】ａ＝１、ｂ＝０のとき、ｙ₁ は反転し、ｙ
₂ も反転する。ａ＝０のとき、ｙ₁ は反転せず、ｙ₂ は
反転する。ｘ₁ とｘ₂ が共に反転したときは、次のよう
に整理できる。即ち、ａ＝１のとき、ｙ₁ は反転せず、
ｙ₂ は反転する、ａ＝０、ｂ＝１のとき、ｙ₁ は反転
し、ｙ₂ は反転しない、ａ＝０、ｂ＝０のとき、ｙ₁ は
反転し、ｙ₂ も反転する。

【００２３】 以上を要約すると、図５ａに示す手順公
開関数は、パラメータが定数であるとき、ｘからｙへの
変換は１：１写像であり、パラメータλが秘密であれ
ば、差分通過確率ｐは、ｐ＜１である。図５ｂに示す手
順公開関数、ｙ＝ＭＡＰ２（ｘ，λ）、を考える。この
関数は、図５ａの手順公開関数を一般化して拡張したも
のであり、データブロックｘ，ｙ，λのブロック長をそ
れぞれ３２ビット、ｘ_１，ｘ_２，ｙ_１，ｙ_２，ａ，ｂ
を、それぞれ１６ビットとし、論理演算は、ＡＮＤ，Ｏ
Ｒ，ＮＡＮＤ，ＮＯＲとしたもので、つまり入力の一方
のデータブロックと、パラメータとのＡＯＮＲ論理演算
を行い、その結果で入力データの他方のデータブロック
に排他的論理和演算を施すことを、各パラメータのブロ
ック数だけ行い、かつその各データブロックとパラメー
タとのＡＯＮＲ論理演算の各入力側と出力側と、左、右
データブロックの通路の各所に手順を公開した１：１写
像を組込可能とする。図５ｂ中に○（点線○）印で示す
手順を公開した１：１写像手段は、例えばデータブロッ
クの８ビット左回転機能をもつ関数手段である。図５ｂ
に示す手順公開関数は、パラメータλが秘密であるた
め、差分通過確率ｐは、ｐ＜１となることは、図５ａの
説明から明らかである。 （動的写像関数） 図５ａ，図５ｂに示した手順公開関数は、パラメータλ
が一定のとき、ｘからｙへの変換は１：１写像であり、
パラメータ値を変化させると他の１：１写像となり、更
に、パラメータλを秘密にすると、差分が通過する確率
は、１より小さい。以上述べた性質を持つ関数を、動的
写像関数と呼び、ｙ＝ＭＡＰ（ｘ，λ）、或いは、ｙ＝
ＭＡＰｉ（ｘ，λ）、ｉ＝１，２，‥，で表わす。動的
写像関数を実現する具体的な暗号化処理要素を、動的写
像手段という。

【００２４】

【作用】この発明は、（１）差分が１００％の確率で通
過する暗号化処理要素、例えばＦＥＡＬ暗号装置の前処
理部で使われている図４ｂに示す手順公開関数を、例え
ば図５ａに示す差分が１００％未満の確率で通過する
１：１写像と置き換えた暗号装置とすることにより、又
は、（２）秘密鍵暗号の動的写像手段をｆ関数手段に並
列に接続し、又は、（３）秘密鍵暗号の動的写像手段を
ｆ関数手段に直列に接続し、又は、（４）秘密鍵暗号の
ＡＯＮＲ論理手段をｆ関数手段に並列に接続する、のい
づれか１以上を採用する。よって（２）（３）の場合
に、差分がｆ関数手段を確率ｐ₁ で通過し、動的写像手
段を確率ｐ₂ で通過するなら、差分が暗号装置の反復単
位を通過する確率は、ｐ₁ ・ｐ₂ となる。同様に（４）
の場合に、差分がｆ関数手段を確率ｐ₁ で通過し、ＡＯ
ＮＲ論理手段を確率ｐ₃ で通過するなら、差分が暗号装
置の反復単位を通過する確率は、ｐ₁ ・ｐ₃ となる。こ
のため、暗号鍵の算出が難しい、即ち強い暗号を生成す
る暗号装置が得られる。

【００２５】

【実施例】実施例１ 図１にこの発明をＦＥＡＬ暗号装置に適用した実施例を
示し、図６と対応する部分に同一符号を付けてある。こ
の実施例では前処理部５４中のデータ分岐手段６２より
後の処理部分が動的写像手段１４に置き換えられ、また
後処理部５６のデータ結合手段６３の前の処理部分が動
的写像手段１５に置き換えられ、更に反復処理部５５内
の各ｆ関数手段７２−１〜７２−Ｎとそれぞれ並列に動
的写像手段２４−１〜２４−Ｎが設けられ、その動的写
像手段２４−１〜２４−Ｎの出力はそれぞれ排他的論理
和回路２５−１〜２５−Ｎでｆ関数手段７２−１〜７２
−Ｎの出力に対し排他的論理和演算がなされる。

【００２６】動的写像手段１４においてはＡＯＮＲ論理
手段１６−１，１６−２で入力ブロックデータとサブ鍵
データとの論理演算がなされ、同様に動的写像手段１５
においてＡＯＮＲ論理手段１６−３，１６−４により、
入力ブロックデータとサブ鍵データとの論理演算がなさ
れる。ＡＯＮＲ論理手段１６−１，１６−４は共に同種
の論理演算、例えば共にＡＮＤ演算又は共にＯＲ演算な
どを行う。同様に、１６−２と１６−３は共に同種の論
理演算、例えばＡＮＤ演算又は共にＯＲ演算などを行
う。動的写像手段１４中で排他的論理和回路６７−１の
出力を左右半分交換回路１８−２を通じてＡＯＮＲ論理
手段１６−２へ供給され、動的写像手段１５中で反復処
理部５５からの左データブロックが左右半分交換回路１
８−３を通じてＡＯＮＲ論理手段１６−３へ供給され
る。

【００２７】鍵処理部５２の動作は図６のそれと同様で
あり、データ処理部５３の動作はその全体としての流れ
は図６のそれと同様であるが、以下に説明する。６４ビ
ットの平文データブロックＰを、入力データ線５８−１
から入力し、データ分割手段６２で、平文データブロッ
クＰを各３２ビット長の左データＬ₀ と右データＲ₀ と
に分け、右データＲ₀ は、ＡＯＮＲ論理手段１６−１
で、サブ鍵データ線６０−１から入力するサブ鍵ＫＶ₁
と論理演算を施こし、その結果のデータブロックが、排
他的論理和回路６７−１により、左データＬ₀ に排他的
論理和演算を施こされる。

【００２８】この排他的論理和演算された左データＬ₀
は、左右半分交換回路１８−２で、その左半分１６ビッ
トと右半分１６ビットとが交換され、その結果の３２ビ
ット、ＥＸＧ（Ｌ₀ ）が、ＡＯＮＲ論理手段１６−２
で、サブ鍵データ線６０−２から入力するサブ鍵ＫＶ₂
と論理演算を施こされ、その結果のデータブロックが、
排他的論理和回路６７−２により、右データＲ₀ に排他
的論理和演算を施される。

【００２９】反復処理部５５において、左データＬ₀ は
左レジスタ７０−０に、右データＲ₀ は、右レジスタ７
１−０に格納する。次に、サブ鍵データ線５９−１から
入力するサブ鍵ＫＵ₁ は、ｆ関数手段７２−１と動的写
像手段２４−１の双方にそれぞれ入力し、更に、右デー
タＲ₀ はｆ関数手段７２−１と動的写像手段２４−１の
双方にそれぞれ入力し、以上の入力をもとに、ｆ関数手
段７２−１との動的写像手段２４−１とがそれぞれの処
理を施し、このｆ関数手段７２−１の出力のデータブロ
ックと、動的写像手段２４−１の出力のデータブロック
とを、排他的論理和回路２５−１で排他的論理和演算を
とり、更に、回路２５−１の出力のデータブロックと、
左レジスタ７０−０からの左データＬ₀ を、排他的論理
和回路７３−１で排他的論理和演算をとり、その結果を
新しく右データＲ₁ として右レジスタ７１−１に格納す
る。また、それまでの右データＲ₀ を新しく左データＬ
₁ とし、左レジスタ７０−１に格納する。これらの処理
を繰り返しＮ回行ない、左データＬ_N を左レジスタ７０
−Ｎに格納し、右データＲ_N を右レジスタ７１−Ｎに格
納する。

【００３０】最後に、左データブロックと右データブロ
ックを入れ換えて反復処理部５５での演算を終了する。
なおこの入れ換え後の時点では左データはＲ_N 、右デー
タはＬ_N と表わす。次に、後処理部５６において、左デ
ータＲ_N は、左右半分交換回路１８−３で、その左半分
１６ビットと右半分１６ビットとが交換され、その結果
の３２ビットＥＸＧ（Ｒ_N ）が、ＡＯＮＲ論理手段１６
ー３で、サブ鍵データ線６０−３から入力するサブ鍵Ｋ
Ｖ₃ との論理演算を施され、その結果のデータブロック
が、排他的論理和回路６７−３で、右データＬ_N に排他
的論理和演算を施される。

【００３１】その排他的論理和演算された右データＬ_N
は、ＡＯＮＲ論理手段１６−４で、サブ鍵データ線６０
−４から入力するサブ鍵ＫＶ₄ と論理演算を施され、そ
の結果のデータブロックが、排他的論理和回路６７−４
で、左データＲ_N に排他的論理和演算を施される。最後
に、データ結合手段６３で、左データＲ_N と右データＬ
_N は並べられて、即ち、Ｒ_N ‖Ｌ_N が、暗号文ブロック
として、出力データ線５８−２から出力される。

【００３２】以上に述べた暗号化処理を、数式を用いて
補足説明する。 前処理部５４ 平文ブロックＰを２分割する、即ち、Ｐ＝Ｌ₀ ‖Ｒ₀次
に、 Ｌ₀ ＝Ｌ₀ （＋）（ＫＶ₁ ＃Ｒ₀ ） ここで、＃はＡＯＮＲ論理演算を、即ち、ＡＮＤ、Ｏ
Ｒ、ＮＡＮＤ、ＮＯＲのいづれかの論理演算を表す。

【００３３】次に、 Ｒ₀ ＝Ｒ₀ （＋）( ＫＶ₂ ＃ＥＸＧ（Ｌ₀ )) 反復処理部５５ 次の演算を、ｉ＝１から、ｉ＝Ｎまで繰り返す。 Ｒ_i ＝Ｌ_i-1 （＋）ｆ（Ｒ_i-1 ，ＫＵ_i ）（＋）ＭＡＰ
（Ｒ_i-1 ，ＫＵ_i ） Ｌ_i ＝Ｒ_i-1 ここで、ｆはｆ関数手段７２−ｉの機能を関数として表
し、ＭＡＰは動的写像手段の機能を関数として表したも
のである。ｆ関数手段と動的写像手段は、サブ鍵ＫＵ_i
の全部または一部の情報を使う。ｕ＝６４の場合、ｆ関
数手段は、例えば、ＫＵ_i の左３２ビットを使い、動的
写像手段は、ＫＵ_i の右３２ビットを使う。また、ｕ＝
３２の場合、ｆ関数手段と動的写像手段は、それぞれ例
えば、ＫＵ_i の全３２ビットを使う。

【００３４】Ｎ回反復後に、左半分と右半分を入れ換
え、左データはＲ_N 、右データはＬ_Nで表わす。 後処理部５６ Ｌ_N ＝Ｌ_N （＋）（ＫＶ₃ ＃ＥＸＧ( Ｒ_N )) Ｒ_N ＝Ｒ_N （＋）（ＫＶ₄ ＃Ｌ_N ） Ｒ_N ‖Ｌ_N が、暗号文ブロックＣとなる、即ち、 Ｃ＝Ｒ_N ‖Ｌ_N 動的写像手段２４−１〜２４−Ｎは図５ａか図５ｂに示
したものと、基本構造は同じものであり、例えば図２に
示すものが用いられる。入力データ線３３−１からの３
２ビットのデータブロックｘは写像手段３６−５を通じ
て分岐手段３２−１に入力されて１６ビットずつの２つ
のデータブロックに分けられ、その一方のデータブロッ
クは写像手段３６−１，３６−２に入力され、他方は排
他的論理和回路３５−２に入力される。一方パラメータ
入力線３１−３からの３２ビットのパラメータλが分岐
手段３２−２で１６ビットずつのパラメータブロックに
分けられ、その一方と写像手段３６−２の出力とがＡＯ
ＮＲ論理手段３４−２で論理演算がされて排他的論理和
回路３５−２へ供給される。回路３５−２の出力は写像
手段３６−４，３６−３を通じてＡＯＮＲ論理手段３４
−１へ供給され、分岐手段３２−２の分岐された他方と
論理演算がされて排他的論理和回路３５−１へ供給され
る。写像手段３６−１の出力は回路３５−１で論理手段
３４−１の出力と排他的論理和演算がされ、その演算結
果は写像手段３６−４の出力と結合手段３２−３で３２
ビットのデータブロックに結合されて出力データ線３３
−２に出力される。写像手段３６−１〜３６−５は１ビ
ット左回転、８ビット左回転、１：１写像機能をもつ８
ビット入力８ビット出力のＲＯＭ、無変換などであり、
その機能がそれぞれ適宜定められている手順を公開した
１：１写像機能があるものである。動的写像手段２４−
１〜２４−Ｎはこのように構成されているから、入力パ
ラメータが固定のとき１：１写像であり、パラメータが
変化すると、他の１：１写像となる。

【００３５】次に、このＦＥＡＬ暗号装置の復号化の動
作について説明する。 （全体の動作）鍵入力線５７−１から鍵ブロックＫを入
力し、暗号化復号化切替え制御線５７−２で復号化を指
定しておき、入力データ線５８−１から暗号文ブロック
を入力すると、出力データ線５８−２から、暗号文が復
号化されて、平文ブロックが出力される。 （動作の詳細）前処理部５４において、６４ビットの暗
号文データブロックＣを、入力データ線５８−１から、
前処理部５４に入力し、データ分割手段６２で、暗号文
データブロックＣを各３２ビット長の左データＲ_N と右
データＬ_N とに分け、次に、右データＬ_N は、ＡＯＮＲ
論理手段１６ー１で、サブ鍵データ線６６−１から入力
するサブ鍵ＫＶ₄ と論理演算を施され、その結果のデー
タブロックが、排他的論理和回路６７ー１で、左データ
Ｒ_N に排他的論理和演算を施される。

【００３６】その排他的論理和演算された左データＲ_N
は、左右半分交換回路１８−２で、その左半分１６ビッ
トと右半分１６ビットとが交換され、その結果の３２ビ
ット、ＥＸＧ（Ｒ_N ）が、ＡＯＮＲ論理手段１６ー２
で、サブ鍵データ線６０−２から入力するサブ鍵ＫＶ₃
と論理演算を施こされ、その結果のデータブロックが、
排他的論理和回路１７ー２で、右データＬ_N に排他的論
理和演算を施される。

【００３７】次に、反復処理部５５において、左データ
Ｒ_N は左レジスタ７０−０に、右データＬ_N は、右レジ
スタ７１ー０に格納する。その後サブ鍵データ線５９−
１から入力するサブ鍵ＫＵ_N は、ｆ関数手段７２ー１と
動的写像手段２４−１の双方にそれぞれ入力し、更に、
右データＬ_N はｆ関数手段７２−１と動的写像手段２４
−１の双方にそれぞれ入力し、以上の入力をもとに、ｆ
関数手段と７２−１と動的写像手段２４−１とがそれぞ
れを施され、ｆ関数手段７２−１の出力のデータブロッ
クと、動的写像手段２４ー１の出力のデータブロックと
を、排他的論理和回路２５−１で排他的論理和演算をと
り、更に、回路２５−１の出力のデータブロックと、左
レジスタ７０ー０からの左データＲ_N を、排他的論理和
回路７３−１で排他的論理和演算をとり、その結果を新
しく右データＬ_N-1 とし、右レジスタ２１−１に格納す
る。また、それまでの右データＬ_N を新しく左データＲ
_N-1 とし、左レジスタ７０−１に格納する。これらの処
理を繰り返しＮ回行ない、左データＲ₀ を左レジスタ７
０−Ｎに格納し、右データＬ₀ を右レジスタ７１−Ｎに
格納する。

【００３８】最後に、左データブロックと右データブロ
ックを入れ換えて反復処理部５５での演算を終了する。
なおこの入れ換え後の時点では左データはＬ₀ 、右デー
タはＲ₀ と表わす。次に、後処理部において、左データ
Ｌ₀ は、左右半分交換回路１８−３で、その左半分１６
ビットと右半分１６ビットとが交換され、その結果の３
２ビットＥＸＧ（Ｌ₀ ）が、ＡＯＮＲ論理手段１６ー３
で、サブ鍵データ線６０−３から入力するサブ鍵ＫＶ₂
と論理演算を施され、その結果のデータブロックが、排
他的論理和回路１７−３で、右データＲ₀ に排他的論理
和演算を施される。その排他的論理和演算された右デー
タＲ₀ は、ＡＯＮＲ論理手段１６−４で、サブ鍵データ
線６０−４から入力するサブ鍵ＫＶ₁ と論理演算を施さ
れ、その結果のデータブロックが、排他的論理和回路１
７−４で、左データＬ₀ に排他的論理和演算を施され
る。

【００３９】最後に、データ結合手段６３で、左データ
Ｌ₀ と右データＲ₀ は並べられて、即ち、Ｌ₀ ‖Ｒ₀ が
平文ブロックとして、出力データ線５８−２から出力さ
れる。以上に述べた復号化処理を、数式を用いて補足説
明する。 前処理部５４ 暗号文ブロックＣを２分割する、即ち、Ｃ＝Ｒ_N ‖
Ｌ_N 。Ｒ_N ＝Ｒ_N （＋）（ＫＶ₄ ＃Ｌ_N ） Ｌ_N ＝Ｌ_N （＋）( ＫＶ₃ ＃ＥＸＧ( Ｒ_N )) 反復処理部５５ 次の演算を、ｉ＝Ｎから、ｉ＝１まで繰り返す。

【００４０】Ｌ_i-1 ＝Ｒ_i （＋）ｆ（Ｌ_i 、ＫＵ_i ）
（＋）ＭＡＰ（Ｌ_i 、ＫＵ_i ） Ｒ_i-1 ＝Ｌ_i Ｎ回反復後に、左半分と右半分を入れ換え、左データは
Ｌ₀ 、右データはＲ₀で表わす。 後処理部５６ Ｒ₀ ＝Ｒ₀ （＋）（ＫＶ₂ ＃ＥＸＧ（Ｌ₀ )) Ｌ₀ ＝Ｌ₀ （＋）（ＫＶ₁ ＃Ｒ₀ ） Ｌ₀ ‖Ｒ₀ が、平文ブロックＰとなる、即ち、 Ｐ＝Ｌ₀ ‖Ｒ₀ 実施例２ 上述では反復処理部５５において、動的写像手段はｆ関
数手段と並列に接続されたが、図２ｂ及び図３ａに示す
ように、動的写像手段をｆ関数手段に直列に接続しても
よい。その他は先の実施例と全て同じであり、反復処理
部についてのみ、次に説明する。

【００４１】図２ｂに示す反復処理部の単位処理段（こ
の例では初段）において、左データＬ₀ は左レジスタ７
０−０に、右データＲ₀ は、右レジスタ７１−０に格納
する。次に、サブ鍵データ線５９−１から入力するサブ
鍵ＫＵ₁ は、ｆ関数手段７２−１と動的写像手段２４−
１の双方にそれぞれ入力し、更に、右データＲ₀ は、動
的写像手段２４−１に入力し、動的写像手段２４−１の
出力のデータブロックが、ｆ関数手段７２−１に入力
し、この出力のデータブロックと、左レジスタ７０−０
からの左データＬ₀ を、排他的論理和回路７３−１で排
他的論理和演算をとり、その結果を新しく右データＲ₁
とし、右レジスタ７１−１に格納する。また、それまで
の右データＲ₀ を新しく左データＬ₁ とし、左レジスタ
７０−１に格納する。これらの処理を繰り返しＮ回行な
い、左データＬ _N を左レジスタ７０−Ｎに格納し、右デ
ータＲ_N を右レジスタ７１−Ｎに格納する。

【００４２】最後に、左データブロックと右データブロ
ックを入れ換えて反復処理部での演算を終了する。なお
この入れ換え後の時点では左データはＲ_N 、右データは
Ｌ_Nと表わす。図３ａに示す反復処理部の単位処理段
（図では初段）において、左データＬ₀ は左レジスタ７
０−０に、右データＲ₀ は、右レジスタ７１−０に格納
する。次に、サブ鍵データ線５９−１から入力するサブ
鍵ＫＵ₁ は、ｆ関数手段７２−１と動的写像手段２４−
１の双方にそれぞれ入力し、更に、右データＲ₀ は、ｆ
関数手段７２−１に入力し、関数手段７２−１の出力の
データブロックが、動的写像手段２４−１に入力し、こ
の出力のデータブロックと、左レジスタ７０ー０からの
左データＬ₀ を、排他的論理和回路７３−１で排他的論
理和演算をとり、その結果を新しく右データＲ₁ とし、
右レジスタ７１−１に格納する。また、従来の右データ
Ｒ₀ を新しく左データＬ₁ とし、左レジスタ７０−１に
格納する。これらの処理を繰り返しＮ回行ない、左デー
タＬ_N を左レジスタ７０−Ｎに格納し、右データＲ_N を
右レジスタ７１−Ｎに格納する。

【００４３】最後に、左データブロックと右データブロ
ックを入れ換えて反復処理部での演算を終了する。なお
この入れ換え後の時点では左データはＲ_N 、右データは
Ｌ_Nと表わす。実施例３ 反復処理部５５でその各単位処理段として図３ｂに示す
ように、ＡＯＮＲ論理手段２６−１と転置手段２７が、
動的写像手段２４−１の替りに使われている点が、実施
例１と異なる点である。ここで転置手段２７とは、手順
公開の１：１写像手段であり、例えば入力データブロッ
クｘの１ビット回転や、入力データブロックｘの左右交
換ＥＸＧ（ｘ）や、無変換である。反復処理部につい
て、次に説明する。

【００４４】図３ｂに示す反復単位処理段（図では初
段）において、左データＬ₀ は左レジスタ７０−０に、
右データＲ₀ は、右レジスタ７１−０に格納する。次
に、サブ鍵データ線５９−１から入力するサブ鍵ＫＵ₁
は、ｆ関数手段７２−１とＡＯＮＲ論理手段２６−１の
双方にそれぞれ入力し、更に、右データＲ₀ は、ｆ関数
手段７２−１と転置手段２７の双方にそれぞれ入力し、
転置手段２７の出力のデータブロックは、ＡＯＮＲ論理
手段２６−１に入力し、以上の入力をもとに、ｆ関数手
段７２−１とＡＯＮＲ論理手段２６−１とでそれぞれ処
理が施され、このｆ関数手段７２−１の出力のデータブ
ロックと、ＡＯＮＲ論理手段２６ー１の出力のデータブ
ロックとを、排他的論理和回路２５−１で排他的論理和
演算をとり、更に、回路２５ー１の出力のデータブロッ
クと、左レジスタ７０ー０からの左データＬ₀ を、排他
的論理和回路７３−１で排他的論理和演算をとり、その
結果を新しく右データＲ₁ とし、右レジスタ７１−１に
格納する。また、それまでの右データＲ₀ を新しく左デ
ータＬ₁ とし、左レジスタ７０−１に格納する。これら
の処理を繰り返しＮ回行ない、左データＬ_N を左レジス
タ7 ０−Ｎに格納し、右データＲ_N を右レジスタ７１−
Ｎに格納する。最後に、左データブロックと右データブ
ロックを入れ換えて反復処理部での演算を終了する。な
おこの入れ換え後の時点では左データはＲ_N 、右データ
はＬ_N と表わす。実施例４ 実施例４は、実施例１，２，３において、動的写像手段
１４と、動的写像手段１５とを省いたものであり、これ
に対応して、サブ鍵データ線６０−１〜６０−４は除
く。実施例１のケースで動的写像手段１４と１５を除い
た実施例の暗号化処理の部分を、数式を用いて次に説明
する。 前処理部５４ 平文ブロックＰを２分割する、 即ち、Ｐ＝Ｌ₀ ‖Ｒ₀ 反復処理部５５ 次の演算を、ｉ＝１からｉ＝Ｎまで繰り返す。

【００４５】Ｒ_i ＝Ｌ_i-1 （＋）ｆ（Ｒ_i-1 ，ＫＵ_i ）
（＋）ＭＡＰ（Ｒ_i-1 ，ＫＵ_i ） Ｌ_i ＝Ｒ_i-1 数式は、実施例１のものと同じである。Ｎ回反復後に、
左半分と右半分を入れ換え、左データはＲ_N ，右データ
はＬ_N で表わす。 後処理部５６ Ｒ_N ‖Ｌ_N が、暗号文ブロックＣとなる。即ち、 Ｃ＝Ｒ_N ‖Ｌ_N

【００４６】

【発明の効果】以上述べたように、実施例１では、秘密
鍵暗号の前処理部で動的写像手段１４を用い、後処理部
で動的写像手段１５を用い、更に、実施例１、４では、
秘密鍵暗号の動的写像をｆ関数手段に並列に接続し、実
施例２では、秘密鍵暗号の動的写像手段をｆ関数手段に
直列に接続し、実施例３では、秘密鍵暗号のＡＯＮＲ論
理手段をｆ関数手段に並列に接続し、実施例４では、実
施例１で用いた動的写像手段１４と動的写像手段１５を
省き、実施例１、２、４の場合に、差分がｆ関数手段を
確率ｐ₁ で通過し、動的写像手段を確率ｐ₂ で通過する
と、差分が暗号装置の反復単位を通過する確率は、ｐ ₁
・ｐ₂ となり、同様に、実施例３の場合に、差分がｆ関
数手段を確率ｐ₁ で通過し、ＡＯＮＲ論理関数を確率ｐ
₃ で通過すると、差分が暗号装置の反復単位を通過する
確率は、ｐ₁ ・ｐ₃ となり、結果として、暗号鍵が算出
され難い、強い暗号が設計できる効果が得られる。

【図面の簡単な説明】

【図１】この発明に基づく暗号装置の一実施例を示す構
成概要図。

【図２】ａは図１中の動的写像手段２４−１〜２４−Ｎ
の一実施例を示す構成図、ｂはこの発明に基づく暗号装
置内部の反復単位の他の一実施例を示す構成図である。

【図３】ａはこの発明に基づく暗号装置内部の反復単位
の更に他の実施例を示す構成図、ｂはその更に他の実施
例を示す構成図である。

【図４】ａは差分通過確率１００％の関数の構成例を示
す図、ｂはその他の例を示す図、ｃは差分通過確率５０
％の１：１写像の構成例を示す図である。

【図５】ａは差分通過確率１００％未満の１：１写像の
他の構成例を示す図、ｂはその更に他の例を示す図であ
る。

【図６】従来のＦＥＡＬ暗号装置の処理概要を示すブロ
ック図。

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 特開 平６−97930（ＪＰ，Ａ) 特開 平６−51698（ＪＰ，Ａ) 特開 平６−161353（ＪＰ，Ａ) 特開 平２−33182（ＪＰ，Ａ) 特開 平２−27389（ＪＰ，Ａ) (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 610 H04L 9/06

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 入力平文ブロックを前処理部で２つのブ
   ロックに分割すると共に鍵処理部で処理されたサブ鍵と
   融合し、その前処理部よりのデータブロックを反復処理
   部で、上記鍵処理部からのサブ鍵を用いてｆ関数手段で
   攪拌処理することを反復し、その反復処理部よりの左、
   右データブロックを後処理部で、上記鍵処理部からのサ
   ブ鍵と融合すると共に１つのブロックに結合する暗号装
   置において、 上記サブ鍵がパラメータとして入力され、そのパラメー
   タにより機能を変える動的写像手段が上記各ｆ関数手段
   とそれぞれ並列に接続され、 上記動的写像手段は、入力データブロックを２つのブロ
   ックに分ける第１分岐手段と、 入力パラメータを二つの
   ブロックに分ける第２分岐手段と、上記第１、第２分岐
   手段の各一方の出力を入力としてＡＯＮＲ論理演算を行
   う第１ＡＯＮＲ論理手段と、その演算結果と上記第１分
   岐手段の他方の出力との排他的論理和をとる第１回路
   と、その第１回路の出力と上記第２分岐手段の他方の出
   力とのＡＯＮＲ論理演算を行う第２ＡＯＮＲ論理手段
   と、その演算結果と上記第１分岐手段の一方の出力との
   排他的論理和をとる第２回路と、上記第１、第２回路の
   出力を結合して１つのブロックとして出力する結合手段
   と、上記第１分岐手段の入力側と上記結合手段との間の
   通路に直列に挿入された少なくとも１つ写像手段と、か
   らなることを特徴とする暗号装置。
2. 【請求項２】 入力平文ブロックを前処理部で２つのブ
   ロックに分割すると共に鍵処理部で処理されたサブ鍵と
   融合し、その前処理部よりのデータブロックを反復処理
   部で、上記鍵処理部からのサブ鍵を用いてｆ関数手段で
   攪拌処理することを反復し、その反復処理部よりの左、
   右データブロックを後処理部で、上記鍵処理部からのサ
   ブ鍵と融合すると共に１つのブロックに結合する暗号装
   置において、 上記サブ鍵がパラメータとして入力され、そのパラメー
   タにより機能を変える動的写像手段が上記各ｆ関数手段
   とそれぞれ直列に接続され、 上記動的写像手段は、入力データブロックを２つのブロ
   ックに分ける第１分岐手段と、 入力パラメータを二つの
   ブロックに分ける第２分岐手段と、上記第１、第２分岐
   手段の各一方の出力を入力としてＡＯＮＲ論理演算を行
   う第１ＡＯＮＲ論理手段と、その演算結果と上記第１分
   岐手段の他方の出力との排他的論理和をとる第１回路
   と、その第１回路の出力と上記第２分岐手段の他方の出
   力とのＡＯＮＲ論理演算を行う第２ＡＯＮＲ論理手段
   と、その演算結果と上記第１分岐手段の一方の出力との
   排他的論理和をとる第２回路と、上記第１、第２回路の
   出力を結合して１つのブロックとして出力する結合手段
   と、上記第１分岐手段の入力側と上記結合手段との間の
   通路に直列に挿入された少なくとも１つ写像手段と、か
   らなることを特徴とする暗号装置。